HTTP Parameter Pollution
HTTP 参数污染是攻击者在请求中重复同一参数名，利用不同框架取值差异绕过验证。
用途
理解重复参数导致的解析差异与绕过，是 WAF 与输入验证常见缺陷。
机制
请求 ?id=1&id=2，不同框架取首值、末值或数组。若 WAF 检查首值 id=1 通过但后端用末值 id=2 执行，绕过防护。防御：统一取值策略、拒绝重复参数。
用例
- WAF 绕过
- 输入验证审计
- 参数解析安全
HTTP 参数污染是攻击者在请求中重复同一参数名，利用不同框架取值差异绕过验证。
理解重复参数导致的解析差异与绕过，是 WAF 与输入验证常见缺陷。
请求 ?id=1&id=2，不同框架取首值、末值或数组。若 WAF 检查首值 id=1 通过但后端用末值 id=2 执行，绕过防护。防御：统一取值策略、拒绝重复参数。